ホームページとサーバーの
脆弱性情報

FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler — CVE-2026-103525

FluentCartで、注文IDと住所IDの確認が不十分なため、他人の住所情報を取得できる問題があります。未ログインでも、連番をたどることで住所や電話番号などの情報が見える可能性があります。

FluentCartを最新版に更新してください。注文や住所の閲覧権限に不審がないか確認し、必要なら保...

Modula Image Gallery – Photo Grid & Video Gallery — CVE-2026-107659

Modula Image Galleryで、公開用のデータ取得時にパスワード情報の隠し方が不十分な問題があります。未ログインでも、ギャラリーの保護用パスワードやユーザー名が見えてしまう可能性があります。

Modula Image Galleryを最新版に更新してください。保護付きギャラリーを使っている場合は、公開...

Complianz GDPR/CCPA Cookie Consent Banner — CVE-2026-97339

Complianz GDPR/CCPA Cookie Consent Bannerで、コメント内容の扱いが不十分なため、不正なスクリプトが保存される問題があります。承認されたコメントを見た利用者の画面で、攻撃コードが実行されるおそれがあります。

Complianz GDPR/CCPA Cookie Consent Bannerを最新版に更新してください。承認待ちや承認済みコ...

Backuply – Backup, Restore, Migrate and Clone — CVE-2026-93953

Backuplyで、プロフィール情報を含むバックアップの復元時に、SQL文へ不正な命令を混ぜ込める問題があります。権限の低い利用者でも、復元の流れを悪用してデータベースを書き換えられる可能性があります。

Backuplyを最新版に更新してください。バックアップの復元を行う前に内容を確認し、利用者権限や...

RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator — CVE-2026-109207

WordPress用プラグイン「RSS Aggregator by Feedzy」に、外部RSSの画像URLを悪用して不正なスクリプトを保存できる問題があります。管理画面やページを開いた人に、勝手な画面表示や不正操作をさせられるおそれがあります。

5.2.11以下を使っているなら、まず最新版への更新を確認してください。外部RSSの取り込み設定が...

Flying Scripts: Delay JavaScript to Improve Site Speed & Performance — CVE-2026-109990

WordPress用プラグイン「Flying Scripts」に、コメント欄の内容を悪用して不正なスクリプトを保存できる問題があります。閲覧者が該当ページを開くと、保存された不正コードが実行されるおそれがあります。

1.2.4以下を使っているなら、更新の有無を確認し、修正版が出ていればすぐ適用してください。あ...

Colibri Page Builder — CVE-2026-107758

WordPress用プラグイン「Colibri Page Builder」に、コメント入力を通じて不正なスクリプトを保存できる問題があります。ページ閲覧時にそのスクリプトが動き、利用者に影響するおそれがあります。

1.0.390以下を使っている場合は、更新できるかすぐ確認してください。サイトでコメントやカスタ...

Customer Email Verification for WooCommerce — CVE-2026-104745

WordPress用プラグイン「Customer Email Verification for WooCommerce」に、本人確認の仕組みが弱く、他人の未確認アカウントを勝手に有効化できる問題があります。条件がそろうと、管理者アカウントを含めて不正ログインされるおそれがあります。

3.3.0以下を使っているなら、すぐ更新してください。Encoding method を hashids にしている場合...

Node.js — CVE-2026-87018

TLS 1.2 の再交渉時に、証明書の確認処理が想定外の例外を起こす問題があります。悪意のある HTTPS サーバーに接続すると、Node.js の処理が止まることがあります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。TLS 1.2 を使う接続があるか確認し...

Node.js — CVE-2026-109869

Node.js の通信ライブラリ undici で、細工された応答を受けると処理が異常終了することがあります。アプリ側でエラーを受け取っていても、Node.js 本体が止まる場合があります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。例外処理だけでは防げないため、早...

Node.js — CVE-2026-109829

Node.js の通信ライブラリ undici で、リダイレクト後の内容が別のURLのキャッシュに入ってしまう不具合があります。信頼したURLのはずが、別サイトの内容や個人向けの内容にすり替わることがあります。

undici を 7.30.1、8.12.2 以降へ更新してください。共有キャッシュとリダイレクトを組み合わせ...

Node.js — CVE-2026-109383

Node.js の通信ライブラリ undici で、証明書の確認方法が正しく引き継がれない問題があります。独自の確認処理を入れていても、一部の証明書が通ってしまうことがあります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。証明書の独自確認を使っている場合...

Next.js — CVE-2026-100409

OpenNext Cloudflare で、暗号化されたURLの扱いが一貫せず、認可チェックをすり抜けることがあります。保護されたページの内容が、許可なしに表示されるおそれがあります。

OpenNext Cloudflare を 1.20.2 へ更新してください。middleware でアクセス制御をしている場合...

jQuery — CVE-2026-108116

Kendo UI for jQuery の PivotGrid XMLA 通信で、細工した入力が別の命令やXMLとして扱われることがあります。データ取得用の通信に、想定外の内容を混ぜ込めるおそれがあります。

Kendo UI for jQuery を v2026.3.1015 以降へ更新してください。XMLA 通信を使っている場合は、...

Node.js — CVE-2026-109855

Node.js 用の通信部品 undici で、HTTP/2 を使った WebSocket 接続の失敗処理に問題があります。細工されたサーバーにつなぐと、Node.js の処理が止まることがあります。

undici を 8.11.2 以降へ更新してください。すぐ更新できない場合は allowH2 を false にして HT...

MySQL — CVE-2026-102466

Vert.x の MySQL クライアントで、サーバーから返る列数を十分に確認せずに大量のメモリを確保してしまいます。悪意ある MySQL サーバーにつながると、処理が止まることがあります。

影響範囲のある Vert.x の更新版へ上げてください。自社サーバーだけでなく、接続先 MySQL が安...

PostgreSQL — CVE-2026-103223

Eclipse Vert.xのPostgreSQL通信処理で、受け取ったデータの長さ確認が不十分です。悪意あるPostgreSQLサーバーや途中で通信を改ざんする相手により、メモリを使い切って落ちるおそれがあります。

io.vertx:vertx-pg-clientを使っているか確認してください。修正版への更新を優先し、接続先のPo...

MySQL — CVE-2026-103224

Vert.x の MySQL メッセージ処理で、受信データの大きさを十分に制限していません。悪意ある MySQL サーバーが大量データを送り続けると、メモリ不足で停止することがあります。

影響のある Vert.x の更新版へ上げてください。接続先が信頼できるか確認し、必要なら保守会社に...